Monederos físicos de bitcoin no protegen contra hackers

Un ataque ha afectado a miles de monederos físicos de bitcoin, permitiendo a los atacantes acceder a fondos sin necesidad de acceso físico a los dispositivos. El ataque se produjo el 31 de julio y afectó a 4.585 direcciones de monederos distintos, sustrayendo un total de 1.367 bitcoins, equivalentes a unos 89 millones de dólares.

El problema se debió a un error en el código empleado para generar semillas en los monederos ColdCard, que utilizan una biblioteca llamada libNgU. Sin embargo, un error de integración hizo que el programa acabara usando un generador seudoaleatorio de MicroPython embebido, que no es lo suficientemente fuerte como para generar números aleatorios seguros. Esto permitió a los atacantes recrear una lista de semillas candidatas y acceder a los fondos.

“El problema se debió a un error en el código empleado para generar semillas en los monederos ColdCard, que utilizan una biblioteca llamada libNgU”

Los expertos estiman que el espacio efectivo para generar semillas se reducía a 32 bits, lo que hace que "adivinar" las claves ya no sea virtualmente imposible, sino tan solo cuestión de potencia de cálculo y tiempo. Con suficientes conocimientos del firmware y del comportamiento del hardware, un atacante podía averiguar las posibles direcciones y luego compararlas con la cadena de bloques de bitcoin.

El ataque ha generado preocupación entre los propietarios de monederos físicos de bitcoin, ya que pone en evidencia la vulnerabilidad de estos dispositivos. Los expertos recomiendan tomar medidas de seguridad adicionales para proteger los fondos, como utilizar monederos más seguros o diversificar las inversiones. La empresa responsable de los monederos ColdCard, Coinkite, ha anunciado que está trabajando en una actualización para solucionar el problema.